火绒高级威胁防护规则

YorkWaugh

1. 触犯规则：Ransom.DoubleExt.A
   
2. 操作类型：【创建】
   
3. 操作文件：D:\WSL\rootfs\usr\lib\python2.7\pdb.doc.dpkg-new
   
4. 操作结果：已允许
   
5. 
   
6. 进程ID：15996
   
7. 操作进程：D:\WSL\rootfs\usr\bin\dpkg
   
8. 操作进程命令行：/usr/bin/dpkg
   
9. 父进程ID：4156
   
10. 父进程：D:\WSL\rootfs\usr\bin\apt
    
11. 父进程命令行：apt

复制代码

Jerry.Lin

YorkWaugh 发表于 2022-11-15 05:24

额这个只能手动排除了

ismysky

顶起来导入了

bakaloli

谢谢分享

Frank404

大佬您好，请问这个是手动排除一下就可以了吗

1. 触犯规则：Suspicious.PowerShell.A
   
2. 操作类型：【执行】
   
3. 操作文件：C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
   
4. 操作结果：已阻止
   
5. 
   
6. 进程ID：1640
   
7. 操作进程：C:\Windows\System32\svchost.exe
   
8. 操作进程命令行：C:\Windows\system32\svchost.exe -k netsvcs -p -s Schedule
   
9. 父进程ID：904
   
10. 父进程：C:\Windows\System32\services.exe
    
11. 父进程命令行：C:\Windows\system32\services.exe

复制代码

fogang136

谢谢分享！收起来试一下。

Jerry.Lin

Frank404 发表于 2022-12-3 06:03
大佬您好，请问这个是手动排除一下就可以了吗

这个是什么计划任务触发的？

Frank404

Jerry.Lin 发表于 2022-12-4 02:48
这个是什么计划任务触发的？

请问一下这个要怎么去找，在网上搜了一下没搞懂要怎么看是什么计划任务触发的，请大佬赐教

zpy0206

大佬 WPS这个自动上传会报欸 有办法可以解决不？

【1】2022-12-05 18:49:32,高级防护,自定义防护,wpscloudsvr.exe触犯自定义防护规则, 已允许

触犯规则：Ransom.DoubleExt.A
操作类型：【创建】
操作文件：E:\File\WPS Cloud Files\1\.291513134\cachedata\599EB8CA03704FD49DB282138A1F7F64\写作思路.docx.qingtmp
操作结果：已允许

进程ID：5264
操作进程：D:\LenovoSoftstore\WPS Office\WPS Office\11.1.0.12763\office6\wpscloudsvr.exe
操作进程命令行："D:\LenovoSoftstore\WPS Office\WPS Office\11.1.0.12763\office6\wpscloudsvr.exe" /qingbangong /start_from=qingipc autologin
父进程ID：5112

Jerry.Lin

zpy0206 发表于 2022-12-5 04:52
大佬 WPS这个自动上传会报欸 有办法可以解决不？

【1】2022-12-05 18:49:32,高级防护,自定义防护, ...

如果WPS是装在默认路径不会有这个问题，装在别的地方就只能自己手动加排除